ক্রিপ্টো ব্যবহারকারী এবং বিল্ডাররা নতুনভাবে প্রকাশিত PHP ভালনারেবিলিটির জন্য জরুরি প্যাচ প্রকাশের পর ওয়েব-নিরাপত্তা ঝুঁকির সম্মুখীন হচ্ছেন। ইমিউনেফির সিইও মিটশেল আমাডোর সতর্ক করেছেন যে পরবর্তী কয়েক সপ্তাহের জন্য ইন্টারনেট ব্যবহারকারীদের ধরে নিতে হবে যে তাদের যেকোনো সাইটে লগইন করা হয়েছে এবং সেগুলো ইতিমধ্যেই দখলদারির শিকার হয়েছে—বিশেষ করে ছোট সংস্থাগুলোর সাইটগুলো, যাদের আপডেট বাস্তবায়নে বেশি সময় লাগতে পারে।
আমাদর এই পরিস্থিতিকে তাঁর যা বলেন তার একটি “দুর্বলতা আপোক্যালিপস” হিসেবে বর্ণনা করেছেন, যেখানে ত্রুটি আবিষ্কার করা ক্রমাগত দ্রুত এবং কম খরচে হয়ে উঠছে, কিন্তু অনেক অপারেটরদের জন্য এগুলো ঠিক করার প্রকৃত কাজটি এখনও ধীর এবং ব্যয়বহুল। তাঁর মন্তব্যগুলির পরে PHP ফাউন্ডেশন স্বীকার করেছে যে একটি গুরুত্বপূর্ণ নিরাপত্তা ঠিক করা সম্পদের সীমাবদ্ধতার কারণে বিলম্বিত হয়েছিল।
প্রধান পয়েন্ট
- ইমিউনেফির সিইও মিটচেল আমাডোর ব্যবহারকারীদের প্যাচগুলি প্রসারিতভাবে বাস্তবায়িত না হওয়া পর্যন্ত ওয়েব সেশনগুলিকে সম্ভাব্যভাবে অনিরাপদ হিসাবে বিবেচনা করার আহ্বান জানিয়েছেন।
- ওয়েবসাইটে ক্রিপ্টোকারেন্সি ওয়ালেট সংযুক্ত করার সময় ব্যবহারকারীদের বিশেষভাবে সতর্ক থাকা উচিত এবং পাসওয়ার্ড পুনরায় ব্যবহার করা এড়ানো উচিত।
- বিনিয়োগকারী এবং ব্যবহারকারীদের অপরিচিত বা অনুমোদিত নয় এমন টোকেন অনুমোদনগুলি বাতিল করা উচিত।
- Cloudflare-এর সিইও ম্যাথিউ প্রিন্সের মতে, পিএইচপি সমস্যাগুলির প্রকাশের পর দুর্বলতা প্রয়োগের চেষ্টা দ্রুত বৃদ্ধি পায়।
- যেহেতু ওয়েবসাইটগুলি স্বতন্ত্রভাবে আপগ্রেড করতে হবে, তাই জরুরি ঠিক করা প্রকাশিত হওয়ার পরেও ইন্টারনেটজুড়ে প্যাচের সময়সূচী অসম হওয়ার সম্ভাবনা রয়েছে।
এই PHP প্যাচ উইন্ডোটি অসাধারণভাবে বিপজ্জনক হতে পারে কেন
আমাদোরের সতর্কবার্তাটি ভেদনীয়তা প্রকাশ এবং সম্পূর্ণ সমাধানের মধ্যবর্তী সময়কালের জন্য উদ্দিষ্ট। যদিও জরুরি প্যাচ জারি করা হয়, ব্যক্তিগত ওয়েবসাইটগুলি এখনও নিজেদের দ্বারা আপগ্রেড করতে হবে—যে কাজটি ছোট অপারেটরদের ক্ষেত্রে কর্মচারী, পরীক্ষা বা বাস্তবায়নের জটিলতার কারণে বিলম্বিত হতে পারে।
তিনি Cointelegraphকে বলেন যে ব্যবহারকারীদের তাদের আচরণ তাত্ক্ষণিকভাবে সামঞ্জস্য করা উচিত: পরবর্তী কয়েক সপ্তাহের জন্য, যেকোনো সাইটে লগ ইন করার সময় ধরে নিন যে এটি ইতিমধ্যেই কমপ্রোমাইজড হয়ে গেছে। ব্যবহারিকভাবে, এর অর্থ হল ঝুঁকিপূর্ণ অথেনটিকেশন অভ্যাস (যেমন পাসওয়ার্ড পুনরায় ব্যবহার) এড়ানো এবং ওয়ালেট-সংযুক্ত অ্যাপ্লিকেশনগুলির সাথে মিথস্ক্রিয়া করার সময় আরও সতর্কতা অবলম্বন করা।
আমাদর এছাড়াও অপরিচিত টোকেন অনুমতি বাতিল করার পরামর্শ দিয়েছেন। ক্রিপ্টো বাস্তুতন্ত্রে, অনুমতিগুলি ব্যবহারকারীর পক্ষে স্মার্ট-কন্ট্রাক্ট অনুমতি প্রদান করতে পারে—তাই একটি ক্ষতিগ্রস্ত সাইট যদি ব্যবহারকারীরা যথেষ্ট সতর্কতা ছাড়াই ইন্টারঅ্যাক্ট করেন, তবে ক্ষতিকর অনুমতি প্রচারের চেষ্টা করতে পারে।
পিএইচপি ফাউন্ডেশনের দেরি হওয়া প্রতিক্রিয়া, এবং কী পরিবর্তিত হয়েছে
সর্বশেষ চিন্তার চক্রটি পিএইচপি ফাউন্ডেশন যখন ২০২৪ সালে প্রথম শনাক্ত করা একটি গুরুত্বপূর্ণ সিকিউরিটি ফ্লো ঠিক করতে দেরি করার কথা স্বীকার করেছিল, তার প্রায় এক সপ্তাহ পরে আসে। তাদের বিবৃতিতে, পিএইচপি ফাউন্ডেশন ব্যাখ্যা করেছে যে সংস্থার সম্পদের অভাবের কারণেই সংশোধনটি প্রত্যাশিতের চেয়ে বেশি সময় নিয়েছে।
দুটি গুরুতর ভালনের জন্য আপডেট একই দিনে প্রকাশিত হয়েছে, কিন্তু—গুরুত্বপূর্ণভাবে—আপডেট উপলব্ধ থাকা দ্রুত গ্রহণের গ্যারান্টি দেয় না। ওয়েবসাইটগুলিকে এখনও তাদের PHP ইনস্টলেশন এবং সফটওয়্যার স্ট্যাক আপডেট করতে হবে। আপডেট প্রকাশ এবং ব্যাপক বাস্তবায়নের মধ্যে এই ফাঁকেই অনেক বাস্তব-জগতের আক্রমণ বিকশিত হতে পারে।
Cointelegraph জুনে প্রকাশিত একটি সাক্ষাত্কারে আমাদরের ব্যাপক “দুর্বলতা আপোক্যালিপস” বিষয়টি আগে প্রতিবেদন করেছিল, যেখানে তিনি যুক্তি দেন যে ফ্রন্টিয়ার এআই মডেলগুলির উত্থান সাইবার নিরাপত্তা খেলার মাঠকে আক্রমণকারীদের দিকে সরিয়েছে। সেই কথোপকথনে, তিনি এই ঘটনাকে DeFi হ্যাকের পুনরুত্থানের সাথে সংযুক্ত করেন, এবং প্রস্তাব করেন যে যখন প্রতিরক্ষা আক্রমণকারীদের ক্ষমতার সাথে পাল্লা দিতে পারছে না, তখন বাস্তুতন্ত্রটি এখনও প্রতিরক্ষাহীন।
প্রকাশের পর দুর্বলতা প্রয়োগের চেষ্টা দ্রুত গতিতে চলে গেল
গতিতেই এই গল্পের একটি মূল অংশ বলে মনে হচ্ছে। Cloudflare-এর সিইও ম্যাথিউ প্রিন্সের মতে, PHP দুর্বলতাগুলি প্রকাশিত হওয়ার ২৪ ঘন্টার মধ্যে Cloudflare মিলিয়ন মিলিয়ন এক্সপ্লয়িট প্রয়াস লক্ষ্য করেছে, যার হাজার হাজার প্রয়াস প্রকাশের আগেই ঘটেছিল। প্রিন্স এই পর্যবেক্ষণগুলি একটি X পোস্টে শেয়ার করেন।
PHP-এর প্রচুর ব্যবহারের কারণে সম্ভাব্য প্রকাশের পরিসর বৃদ্ধি পায়। গবেষণা সেবা W3Techs অনুসারে, PHP একটি পরিচিত সার্ভার-পাশের প্রোগ্রামিং ভাষা ব্যবহার করে এমন ওয়েবসাইটের প্রায় 69% চালনা করে। আলাদাভাবে, Cloudflare বলেছে যে বিশ্বব্যাপী প্রতি পাঁচটি ওয়েবসাইটের মধ্যে একটি তাদের নেটওয়ার্কের মধ্যে দিয়ে ট্রাফিক রুট করে, যার অর্থ ইন্টারনেট-সংযুক্ত দুর্বলতা থাকলে ইন্টারনেটের একটি বড় অংশ একসাথে প্রভাবিত হতে পারে।
সিকিউরিটি গবেষক এবং আইন প্রয়োগকারীদের নির্দেশিকা উভয়ই এর গুরুত্ব উল্লেখ করে। এফবিআইয়ের সাইবার বিভাগ সতর্ক করেছে যে এই দুর্বলতাগুলি ক্ষতিকারক অপারেটরদের জন্য “PHP কোরে রিমোটলি কোড এক্সিকিউট করার” অনুমতি দিতে পারে, যা সংবেদনশীল ডেটা এবং নেটওয়ার্ককে ক্ষতিগ্রস্ত করার সম্ভাবনা রাখে—একটি ফলাফল যা শুধুমাত্র ওয়েবসাইটের বিকৃতির বাইরেও বিস্তৃত হতে পারে।
প্যাচ ক্যাচ-আপের সময় ক্রিপ্টো ব্যবহারকারীদের কী করা উচিত
এই সমস্যাটি কেবল একটি সাধারণ ওয়েব-নিরাপত্তা চিন্তা নয়; এটি সরাসরি ক্রিপ্টো ব্যবহারকারীদের জন্য ঝুঁকি তৈরি করে এমন আচরণের সাথে মিলে যায়। আমাদোরের পরামর্শ হল যদি কোনো সাইট কমপ্রোমাইজড হয়, তবে ব্যবহারকারীদের আপগ্রেড চলাকালীন অপেক্ষা করার সময় এর প্রভাব কমানো।
সাধারণ ভালো সুরক্ষা প্রথা ছাড়াও, তিনি তিনটি কার্যক্রমের উপর জোর দিয়েছিলেন:
- পরবর্তী কয়েক সপ্তাহের জন্য ওয়েবসাইটগুলিকে সম্ভাব্যভাবে অনিরাপদ হিসাবে বিবেচনা করুন, যতক্ষণ না আপনার তাদের প্যাচ অবস্থা বিশ্বাস করার কারণ থাকে।
- অন্য কোথাও ক্রেডেনশিয়াল পাওয়া গেলে ব্লাস্ট রেডিয়াস কমানোর জন্য পাসওয়ার্ড পুনরায় ব্যবহার এড়িয়ে চলুন।
- অপরিচিত টোকেন অনুমতি বাতিল করুন, বিশেষ করে তৃতীয় পক্ষের সাইট বা ওয়ালেট-সংশ্লিষ্ট প্রবাহের মাধ্যমে প্রদানকৃত অনুমতি।
PHP ব্যবহার করে ওয়েবসাইট চালানোকারীদের জন্য এর প্রভাব সরল: প্যাচ প্রকাশ করা শুধু শুরু। সুরক্ষামূলক মূল্য নির্ভর করে সময়মতো আপগ্রেড, যাচাই এবং নিয়মিত মনিটরিং-এর উপর—কারণ আক্রমণকারীরা প্রায়শই ভাইরাসগুলি ক্রিয়াশীল হওয়ার পর দ্রুত সরে যায়।
পাঠকদের দেখতে হবে যে বড় ওয়েব প্ল্যাটফর্ম এবং ছোট ছোট সাইটগুলি কত দ্রুত তাদের আপগ্রেড সম্পন্ন করছে, এবং পরবর্তী রিপোর্টগুলিতে দুর্নীতির চেষ্টার হ্রাস দেখা যায় কিনা। পরবর্তী পর্যায়টি সম্ভবত প্যাচগুলি কখন প্রকাশিত হয়েছিল তার চেয়ে বেশি বিশ্বব্যাপী PHP-নির্ভর পৃষ্ঠতলে এগুলি কখন বাস্তবায়িত হয়েছিল তার উপর নির্ভর করবে।
এই নিবন্ধটি মূলত Immunefi CEO এর PHP ত্রুটির সতর্কবার্তা এআই ভালনারেবিলিটি ঝুঁকির প্রতি আকর্ষিত করে শিরোনামে Crypto Breaking News-এ প্রকাশিত হয়েছিল – আপনার জন্য ক্রিপ্টো সংবাদ, বিটকয়েন সংবাদ এবং ব্লকচেইন আপডেটের জন্য বিশ্বস্ত উৎস।